《健康保险流通与责任法案》(HIPAA) 是一部美国法律，为保护受保护健康信息 (PHI) 的隐私和安全制定了国家标准。它包括管理适用实体及其业务伙伴如何以电子、纸质和口头格式使用、披露、保护和提供对 PHI 的访问权限的规则。
注意
MongoDB Atlas责任共担模型定义了MongoDB及其客户在维护安全和弹性数据环境方面的互补职责。在此框架下， MongoDB管理根本的平台的安全性和操作完整性，而客户则负责其特定部署的配置、管理和数据策略。有关安全性和卓越运营之间所有权的详细划分，请参阅责任共担模型。
根据 HIPAA：
受保护的健康信息 (PHI) 是指涵盖实体或业务伙伴持有的任何可识别个人身份的健康信息，示例姓名、地址、社会安全号码、医疗记录、测试结果和保险信息等。
HIPAA 制定了以下合规核心规则：
重要
要了解有关 MongoDB 隐私及数据保护计划的更多信息，包括有关我们的数据处理协议的信息，请参阅：
MongoDB已完成对其 HIPAA 安全规则合规的独立评估。要获取独立从业者报告的副本：
现有客户可以通过客户信任门户网站请求副本
潜在客户可通过联系 MongoDB 销售团队请求访问权限
请与我们的销售团队联系，请求业务伙伴协议 (BAA)。要学习；了解更多信息，请参阅 MongoDB 信任中心的HIPAA 和 Atlas For 政府页面。
隐私规则
MongoDB Atlas提供支持合规隐私规则的功能：
个人访问权和记录更正
隐私规则赋予个人对其健康信息的权利，包括检查和获取其健康记录副本以及在适当情况下请求更正的权利。
以下MongoDB Atlas功能支持该领域的合规：
Atlas 强大的查询功能启用授权用户能够使用丰富的筛选器和聚合功能来查找和检索个人的PHI。
数据保留和安全销毁
隐私规则规定了适用实体应如何在其整个生命周期中保护PHI的标准，包括何时不再需要PHI且必须安全处置PHI。
以下 MongoDB Atlas Architecture Center 文章介绍了支持该领域合规性的 Atlas 功能：
Atlas灾难恢复指南：在数据保留期内创建数据备份以用于恢复，启用合规策略以防止备份被修改或删除，并在不再需要时安全地删除备份。
Atlas Data Encryption 指南：使用加密功能保护静态、传输中和使用中的PHI的整个生命周期（包括删除时）。
最低必要标准（数据最小化）
隐私规则的最低必要标准是指涵盖实体必须采取合理步骤使用、披露和请求实现使用、披露或请求的预期目的所需的最少量PHI的原则。
以下 MongoDB Atlas Architecture Center 文章介绍了支持该领域合规性的 Atlas 功能：
Atlas审核和日志记录指南：监控、记录和查看数据库事件，例如影响PHI访问权限的用户身份验证尝试和权限调整。
Atlas数据加密指南：使用客户端字段级加密(CSFLE) 和Queryable Encryption等技术进行加密，以限制仅将敏感 PHI 数据暴露给授权的应用程序组件和用户。
安全规则
MongoDB Atlas提供支持安全规则合规的功能：
加密与传输安全
该安全规则规定了适用实体必须如何确保ePHI的机密性、完整性和可用性的标准，包括实现技术安全措施，防止未经授权访问权限通过电子网络传输的ePHI。
以下MongoDB Atlas Architecture Center文章介绍了支持该领域合规的Atlas功能：
Atlas数据加密指导：确保对传输中 (TLS)、静态（AES-256、BYOK、客户主密钥、 KMS或 TDE）和使用中（CSFLE、随机加密或queryable encryption）进行数据加密。
Atlas 网络安全指导：通过传输中加密、IP 访问列表、防火墙配置、私有端点和网络隔离来保护对 Atlas 集群的网络访问，并在传输过程中保护 ePHI。
访问控制
安全规则要求只有授权人员才能访问权限ePHI。
以下 MongoDB Atlas Architecture Center 文章介绍了支持该领域合规性的 Atlas 功能：
Atlas 身份验证指导：通过实现安全的身份管理，使用诸如联合身份验证与 IdPs、AWS IAM角色身份验证、多因素身份验证 (MFA) 等身份验证机制，控制对 Atlas 数据库的访问。
Atlas 授权指南：通过实施基于角色的访问控制 (RBAC) 的安全访问管理，确保只有获得授权的人员才能根据其特定的工作职能和职责访问 ePHI。
违规通知规则
MongoDB Atlas提供支持合规违规通知规则的功能：
Atlas 审核和信息系统活动查看
违规通知规则要求涵盖实体和业务伙伴实现记录和检查包含或使用ePHI的信息系统中的活动的机制。
以下 MongoDB Atlas Architecture Center 文章介绍了支持该领域合规性的 Atlas 功能：
Atlas 审核和日志记录指导：监控、记录和查看数据库事件，例如用户身份验证尝试和权限调整。
Atlas监控和警报指南：跟踪集群运行状况、性能和操作指标，并配置可发现与ePHI相关的异常活动的警报。
您还可以利用Atlas Stream Processing在实时数据流之上构建自定义数据处理管道，包括Kafka主题、 Kinesis和Atlas Change Streams，后者是一项原生MongoDB功能，可公开有序的变更事件流（插入、更新、删除等） 。您可以将Atlas Stream Processing与第三方监控和日志记录工具集成，为处理ePHI的应用程序创建系统活动的全面视图。
违规通知和事件响应
违规通知规则规定了适用实体和业务伙伴应如何在发生不安全的 PHI 违规后提供通知。
- 第三方集成与 SIEM 工具（如 PagerDuty、Microsoft Teams 和 Prometheus）支持警报路由、待命通知和协调的事件响应工作流程。
应急计划：高可用性和灾难恢复
MongoDB Atlas provides features that support contingency planning to ensure the availability and recoverability of ePHI in the event of an emergency or other event that damages systems containing ePHI.
以下 MongoDB Atlas Architecture Center 文章介绍了支持该领域合规性的 Atlas 功能：
Atlas 高可用性指南：创建满足可用性需求的集群配置，并通过自动故障转移和数据复制加速灾难恢复。
Atlas灾难恢复指导：创建灾难恢复计划，说明在遇到服务中断、意外删除生产数据等情况时要采取的步骤。